Ответ и обоснование:
Да, образовательная организация обязана подать уведомление об обработке персональных данных в Роскомнадзор до начала их обработки.
Обоснование:
Согласно части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», оператор, намеревающийся осуществлять обработку персональных данных, обязан предварительно уведомить об этом Роскомнадзор.
Образовательная организация — это юридическое лицо, которое обрабатывает персональные данные обучающихся, их законных представителей, педагогов, сотрудников и других категорий субъектов персональных данных. Поэтому школа является оператором персональных данных в смысле закона.
Исключения из обязанности подавать уведомление указаны в статье 22 ч. 2 Закона № 152-ФЗ, однако они, как правило, не применимы к образовательным организациям, поскольку:
• обрабатываются данные не только работников (но и обучающихся, родителей и др.),
• данные обрабатываются не только в целях трудовых отношений,
• может осуществляться передача персональных данных третьим лицам (например, в рамках договоров с подрядчиками по питанию, охране, сопровождению и т.п.).
Уведомление можно подать в Роскомнадзор:
1. через Портал персональных данных https://pd.rkn.gov.ru/,
2. в электронной форме с использованием квалифицированной электронной подписи или авторизацией через ЕСИА,
3. в бумажной форме — по почте в территориальное управление Роскомнадзора.
При изменении сведений, указанных в уведомлении, школа обязана направить уточнения до 15-го числа месяца, следующего за изменениями. В случае прекращения обработки — в течение 10 рабочих дней уведомить Роскомнадзор.
Формы уведомлений утверждены Приказом Роскомнадзора от 28.10.2022 № 180 (зарегистрировано в Минюсте России 15.12.2022 № 71532).
Таким образом, школа обязана направить уведомление об обработке персональных данных, если не подпадает под исключения, прямо предусмотренные законом.
Ответ подготовлен экспертами службы правового консалтинга компании "СоветникПРОФ".
